Разработка методов обеспечения безопасности использования информационных технологий, базирующихся на идеях стеганографии
Скачать 1.43 Mb.
|
| Глава 3. МЕТОД СТЕГОАНАЛИЗА ИСПОЛНЯЕМЫХ ФАЙЛОВ, БАЗИРУЮЩИЙСЯ НА КОДЕ ХАФФМАНА 3.1 Введение В предыдущей главе диссертации мы рассматривали методы внедрения секретных сообщений в текстовые файлы. Напомним, что в качестве контейнеров могут выступать различные типы данных, например, видео, изображения и другие. Данная глава посвящена методам стеганографии исполняемых файлов, которые рассматриваются как текст на искусственном языке (машинном языке). В отличие от других видов данных, использующихся для встраивания скрытой информации, применение исполняемых файлов в качестве контейнера имеет свою специфику. Внедрение сообщения не может быть осуществлено прямой модификацией бит программы, так как ее алгоритм работы с высокой долей вероятности разрушится. Следовательно, необходимо использовать такие методы встраивания, которые позволят сохранить работоспособность программы. Существует два направления развития методов внедрения информации в исполняемые файлы. Первое направление развития – это построение систем защиты авторских прав. В каждую продаваемую копию программного продукта с помощью специальных алгоритмов внедряется особое сообщение – водяной знак, по которому, в случае обнаружения нелегальной (пиратской) копии, с легкостью может быть прослежен исходный файл, с которого была снята эта копия и, соответственно, пользователь, нарушивший лицензионное соглашение. Очевидно, что внедряемый водяной знак должен обладать некоторой степенью устойчивости, то есть противостоять удалению или искажению. Считается, что заранее можно предугадать, содержится ли водяной знак или нет. Ряд публикаций, например [25-32], посвящен методам внедрения скрытой информации в программы. Подробно это направление стеганографии будет рассмотрено в главе 4. Второе направление развития стеганографии исполняемых файлов – передача скрытых секретных сообщений. В данной работе речь пойдет об этом направлении. За основу был взят метод, предложенный в статье [32]. Его основная идея состоит в том, чтобы размещать секретное сообщение в неиспользуемых местах секций исполняемых файлов формата Portable Executable (PE)11. Каждая секция такого файла должна быть размером кратным полю FileAligment (см. документацию Microsoft [33]). Таким образом, см. рис. 3.1, секция кода состоит из байтов инструкций программы и нулевых байтов выравнивания, увеличивающих секцию до требуемых размеров.  Рис. 3.1. Содержимое части секции кода исполняемого файла. Авторы работы [32] предлагают вместо байтов выравнивания записывать секретное сообщение. По их мнению, это имеет следующие преимущества. Размер файла остается неизменным и внедренное сообщение никак не влияет на ход выполнения программы. Предполагается, что передаваемое сообщение будет предварительно зашифровано, и для его прочтения необходимо знать секретный ключ, а также начальную позицию сообщения в файле. Как будет показано ниже, данный подход не является устойчивым из-за различных статистических свойств кода программы и передаваемого зашифрованного сообщения. Во многих работах, например [34], используется подход, применяющий статистический анализ для выявления нетипичного для подавляющего большинства исполняемых файлов набора команд, способов выделения регистров, большой избыточности кода или неиспользуемых ветвей программы (т.н. мертвый код). В настоящей работе предлагается новый метод стегоанализа, предполагающий использование архиватора для выявления случайности сообщения. Известно, что зашифрованное сообщение выглядит как случайная последовательность. А это означает, что при сжатии архиватором такой последовательности ее размер более уменьшаться не может. Программа, наоборот, имеет часто повторяющиеся наборы двоичных инструкций. Архиватор такие повторения обнаружит, следовательно, это даст уменьшение размера при сжатии. На этой особенности и основан предлагаемый метод стегоанализа. Стоит отметить, что для выявления случайности сообщения можно использовать не только архиваторы, но и любой другой метод кодирования, применяющийся при сжатии данных. В настоящей работе предлагается использовать кодирование Хаффмана. 3.2. Описание и построение предлагаемого метода стегоанализа 3.2.1 Описание предлагаемого метода В данном разделе главы будет дано описание предлагаемого метода стегоанализа исполняемых файлов. Ранее уже было упомянуто, что за основу была взята схема встраивания, опубликованная в работе [32]. Указанный метод внедрения предполагает записывать сообщение в конец секции кода программы. Соответственно, для выявления факта внедрения необходимо анализировать эту же часть секции. Таким образом, предлагаемая схема стегоанализа состоит из следующих этапов:
Этап извлечения секции кода требует определенный уровень знания PE формата. Для начала, необходимо найти смещение заголовка PE. Одно из полей заголовка – Section headers указывает на массив заголовков секций, каждый элемент которого описывает набор атрибутов секций файла, таких как адрес начала, размер и атрибуты секции. Определять, является ли секция кодовой (т.е. искомой), необходимо по значению бит характеристики. Второй этап сводится к тривиальному удалению серии нулевых байт, завершающих секцию, если таковые присутствуют. Подобная ситуация может возникнуть, если была использована только часть допустимого объема внедрения. Третий этап основывается на особенности исходного метода внедрения и заключается в том, что запись сообщения осуществляется в конец секции, непосредственно после кода программы. Следовательно, должен производиться анализ этих последних байтов (предположительное место размещения скрытого сообщения). Для простоты эту анализируемую часть секции мы будем называть “окном”. Уточним некоторые детали, связанные с выбором величины  . Здесь следует стремиться к уменьшению размера окна по следующим причинам. На рис. 3.2 показана ситуация выбора большого размера окна (заштрихованная область). В этом случае, в окно попадет и скрытое сообщение, и часть кода программы. На этапе кодирования стегосообщение в размерах практически не уменьшится, а код, из-за частого повторения одинаковых инструкций, «сожмется» значительно лучше. Следовательно, в результате анализа таких разнородных данных нельзя однозначно определить, какими статистическими свойствами (зашифрованного сообщения или кода программы) обладает содержимое окна. Как следствие, увеличение числа ошибок работы стегоанализа. Если выбрать маленький размер окна, как показано на рис. 3.3, то в таком случае, анализируемые байты будут состоять только из секретного сообщения. Данные будут однородными, а это означает, что наш метод стегоанализа будет работать более точно. В тоже время, очевидно, что чем меньше размер окна, тем меньше повторяющихся инструкций может оно содержать и, как следствие, код программы будет иметь меньше статистических отличий от зашифрованного сообщения. Оптимальный размер окна будет подбираться эмпирически в разделе 3.2.3. На заключительном этапе по полученной длине кода можно определить, принадлежит ли анализируемая последовательность к коду программы или к зашифрованному сообщению.  Рис. 3.2. Выбор большого окна.  Рис. 3.3. Выбор маленького окна. 3.2.2 Выбор архиватора В этом разделе главе мы проанализируем работу различных архиваторов и выберем среди них наиболее подходящий для нашего метода. Итак, произведем сравнение следующих архиваторов: Bzip, Bzip2, Zip, Rar, Paq8, Nanozip. Нам нужно выбрать такой архиватор, у которого размеры сжатых фрагментов программ и зашифрованных сообщений будут различаться. Исходя из того, что зашифрованное сообщение выглядит как случайная последовательность байт, мы будем имитировать его последовательностью, полученной с помощью генератора случайных чисел. Далее, возьмем по 1000 фрагментов размером 80 байт (причины выбора именно такого размера окна подробнее будут рассмотрены в следующем разделе) сгенерированной случайной последовательности и кода программы соответственно. Затем, произведем сжатие имеющихся фрагментов различными архиваторами. Получившиеся длины сжатых фрагментов будем представлять в виде интервалов. Строго говоря, для каждого архиватора мы получим два интервала:
В лучшем случае, эти два интервала не будут пересекаться. Следовательно, при стегоанализе по размеру анализируемого фрагмента можно будет однозначно определить, к какому типу данных он относится (к коду или к секретному сообщению). Таблица 3.. Интервалы размеров фрагментов.
Под числом пересекающихся элементов понимается количество сжатых фрагментов, размеры которых попали в оба интервала (т.е. в данном случае не получилось однозначно определить – это двоичные инструкции программы или псевдослучайная последовательность). Из таблицы видно, что наиболее подходящим архиватором для стегоанализа является Bzip2 (использующий преобразование Барроуза-Уилера и код Хаффмана), т.к. дает минимальное количество пересекающихся элементов. Как уже отмечалось ранее, вместо архиваторов можно использовать любой другой метод кодирования, применяющийся для сжатия данных. Возьмем оптимальный код Хаффмана. Для построения кода предварительно рассчитываются оценки вероятностей появления каждого символа в окне. В качестве символа мы будем брать один байт. Рассмотрим подробнее процесс получения оценок вероятностей. Пусть имеется алфавит  , его мощность  , где  . Будем говорить, что анализируемое окно состоит из символов алфавита . Причем символ  есть байт равный  . Введем множество счетчиков  . Каждый элемент этого множества содержит число повторений соответствующего символа в окне. Следовательно, искомые оценки вероятностей  появления каждого символа в окне можно вычислить по формуле:  Далее, по полученным оценкам вероятностей строится дерево Хаффмана. Содержимое окна кодируется, и по длине полученной последовательности определяется наличие факта внедрения. Рассмотрим интервалы для кода Хаффмана на той же выборке, что и вышеописанные архиваторы. Таблица 3.. Интервалы размеров фрагментов.
Как видно из табл. 3.2, в отличие от архиватора Bzip2, интервалы не пересекаются, следовательно, возможно однозначное определение факта внедрения скрытого сообщения. Таким образом, эмпирически было показано, что для нашего метода стегоанализа следует использовать оптимальный код Хаффмана. 3.2.3 Выбор оптимального размера окна В предыдущем разделе главы размер окна был взят  байт. Как будет показано ниже, причина выбора указанного значения обусловлена тем, что обеспечивается безошибочное (на исследуемой выборке) определение факта наличия внедрения в исполняемый файл при минимальной длине окна. Рассмотрим подробнее процесс подбора размера окна. Для поиска минимально допустимого значения была взята та же выборка, что и в разделе 3.2.2. Производилось кодирование содержимого окна методом Хаффмана при различных значениях (от 4 Кб до 40 байт). На рис. 3.3 и 3.4 приведены размеры закодированных фрагментов при .Рис. 3.3. Диаграмма размеров сжатых фрагментов программ W=80. Мы видим, что получены два интервала размеров: [19;55] и [58;64] для фрагментов кода и случайной последовательности соответственно. Поскольку интервалы не пересекаются, то возможно однозначное определение факта внедрения секретного сообщения. Рис. 3.4. Диаграмма размеров сжатых фрагментов псевдослучайной последовательности W=80. Как уже упоминалось ранее, необходимо стремиться к уменьшению . Рассмотрим диаграммы при  байт.Рис. 3.5. Диаграмма размеров сжатых фрагментов программ W=70. Из диаграмм (рис. 3.5, 3.6) видно, что при байт происходит пересечение интервалов длин ([26;50] и [49;54]). Следовательно, оптимальное значение составляет 80 байт. Итак, мы установили, что для эффективного стегоанализа необходимо анализировать последние 80 байт окна. Если размер сжатого фрагмента окажется больше 56 байт, то будем считать, что контейнер заполнен стегосообщением. В остальных случаях – пуст. Рис. 3.6. Диаграмма размеров сжатых фрагментов псевдослучайной последовательности W=70. 3.2.4 Описание схемы проведения эксперимента После того как был определен размер окна , а также обоснована целесообразность использования кода Хаффмана вместо архиваторов, определим эффективность нового метода экспериментально. В качестве критерия эффективности будем использовать количество ложных срабатываний алгоритма на пустых и заполненных контейнерах. Здесь необходимо различать два вида ошибок:
Для эксперимента была сформирована выборка из 1000 файлов13 формата PE (программ). Рассмотрим результаты работы метода, представленные в табл. 3.3. Таблица 3.3. Эффективность работы метода стегоанализа.
Мы видим, что предложенный метод эффективно обнаруживает факт наличия секретного сообщения. Основным достоинством разработанной схемы анализа следует считать отсутствие необходимости дизассемблирования. Далее, будем постепенно заполнять контейнер на различное количество байт и анализировать результаты работы метода. На рис 3.7 представлена зависимость количества правильных определений от размера внедрения. Рис. 3.7. Результаты работы метода при различных объемах внедрения Ранее отмечалось, что наш метод рассчитан на работу с контейнером, заполненным на 80 байт. Если контейнер заполнен менее чем на 70 байт, то ошибка II рода достаточно велика, что делает затруднительным практическое применение метода. Ошибка I рода отсутствует. Причина столь высокой ошибки кроется в разнородности анализируемых данных и была описана в разделе 3.2.1. Однако уже при заполнении контейнера на 70 байт и более, метод стегоанализа достаточно эффективно обнаруживает факт внедрения секретного сообщения. 3.3 Описание подхода повышения устойчивости метода внедрения информации в исполняемый файл 3.3.1 Описание схемы передачи секретного сообщения В предыдущем разделе главы мы рассматривали исходный метод внедрения информации в исполняемые файлы [32]. Было установлено, что упомянутый метод имеет существенный недостаток – различие статистических свойств кода программы и передаваемого секретного сообщения. Это различие свойств может быть использовано для стегоанализа. Очевидно, что если секретное сообщение перед внедрением будет закодировано так, что распределение вероятностей будет такое же, как у кода программы, то атаки подобного рода станут неэффективными. В данном разделе главы предлагается использовать оптимальный код Хаффмана для предварительного кодирования зашифрованного сообщения перед внедрением. Рассмотрим пример, представленный на рис. 3.8. Рис. 3.8. Распределение вероятностей байт инструкций программы Рис. 3.9. Распределение вероятностей байт случайной последовательности до кодирования Мы видим, что распределения, представленные на рис. 3.8 и 3.9, существенно отличаются, что с легкостью может быть выявлено и использовано для стегоанализа. Ниже, на рис. 3.10, представлено распределение вероятностей байт случайной последовательности после кодирования. Рис. 3.10. Распределение вероятностей байт случайной последовательности после кодирования Очевидно, что после применения предлагаемого подхода, распределения вероятностей байт, представленные на рис. 3.8 и 3.10 практически совпадают. Таким образом, может быть повышена устойчивость к обнаружению исходного метода внедрения секретного сообщения [32]. Рассмотрим улучшенную схему передачи секретного сообщения в общем виде, представленную на рис. 3.11. Aлиса Боб Шифрование Кодирование Декодирование Расшифровка Внедрение в контейнер Извлечение из контейнера Передача Сообщение Сообщение Рис. 3.11. Модифицированная схема передачи секретного сообщения Таким образом, предложенная схема отличается от исходной наличием этапов кодирования и декодирования сообщения. Для передачи секретного сообщения Бобу, Алиса совершает следующие шаги: Шаг 1. Шифрует исходное сообщение, используя секретный ключ; Шаг 2. Кодирует зашифрованное сообщение, подавая его на вход декодеру Хаффмана; Шаг 3. Внедряет полученное сообщение в секцию кода программы; Шаг 4. Передает файл по открытому каналу связи; Затем Боб совершает следующие шаги: Шаг 5. Принимает файл от Алисы; Шаг 6. Извлекает сообщение из секции кода программы; Шаг 7. Декодирует сообщение, подавая его на вход кодеру Хаффмана; Шаг 8. Расшифровывает сообщение, используя секретный ключ. Таким образом, Боб получает от Алисы исходное сообщение. Участники обмена сообщениями заранее договариваются об используемом при шифровании секретном ключе. На шаге 6 Бобу необходимо знание начальной позиции в файле внедренного сообщения. Об этом также следует договориться заранее. Для шагов 2 и 7 (кодирования / декодирования) используется дерево Хаффмана, для построения которого требуются оценки вероятностей появления символов в окне. Процесс декодирования происходит аналогично. 3.3.2 Описание способа получения распределения вероятностей байт Как уже отмечалось, для построения дерева Хаффмана требуется распределение вероятностей байт. В данной разделе главы рассматривается два способа получения такого распределения, которые используется на этапе кодирования / декодирования передаваемого сообщения:
Рассмотрим первый способ. На шаге 2 Алисе необходимо знать распределение вероятностей байт пустого контейнера. Так как изначально Алиса имеет пустой контейнер, то она без труда сможет его получить. На шаге 7 Бобу также нужно знать распределение вероятностей байт пустого контейнера. Боб получает уже заполненный контейнер, но так как известна начальная позиция встроенного сообщения, то он не будет учитывать байты внедренного сообщения при получении этого распределения. Таким образом, Алиса и Боб могут получить распределение, необходимое на этапах кодирования и декодирования сообщения. Проверим эффективность предлагаемого подхода экспериментально. Будем осуществлять внедрение закодированного секретного сообщения, и применять стеготест, описанный разделе 3.2. Для эксперимента была сформирована выборка из 1000 исполняемых файлов. Далее, используя вышеописанную схему, заполним контейнеры сообщениями. На этапе предварительного кодирования будем получать распределение вероятностей байт, анализируя секцию кода программы (полностью14). После заполнения контейнеров и применения разработанного стеготеста получим результат, приведенный в табл. 3.4. Таблица 3.4. Результаты применения стеготеста при использовании распределения вероятностей байт всей секции кода.
Как видно из табл. 3.4, в 66 контейнерах из 1000 сообщение было обнаружено несмотря на предварительное кодирование. Можно утверждать, что распределение вероятностей обнаруженных стеготестом контейнеров было близко («с точки зрения» стеготеста) к случайному. При изучении структуры исполняемых файлов было обнаружено, что секция кода исполняемого файла может содержать не только набор двоичных инструкций, но и некоторый набор данных, например: таблицы адресов импорта. Обычно для таблицы адресов импорта используется дополнительная секция (например, для компиляторов фирмы Borland такая секция называется .idata). Но компиляторы сторонних производителей могут размещать ее в кодовой секции и, как правило, она размещается в конце секции. Строго говоря, формат PE допускает размещение таблицы импорта в начале, середине и конце секции кода. Данные, расположенные в этой таблице, могут существенно влиять на получаемое распределение. На рис. 3.12 и 3.13 показаны распределения средних вероятностей первой тысячи байт секции кода и последней, взятых из 1000 файлов. Рис. 3.12. Распределение средних вероятностей первой тысячи байт секции кода Рис. 3.13. Распределение средних вероятностей последней тысячи байт секции кода Из графиков видно, что распределения первых и последних байт секции кода действительно отличаются. Таким образом, следует получать распределение вероятностей, анализируя не всю секцию, а только какую-то ее часть. Далее, будет рассмотрено, какая из частей секции должна анализироваться. Рассмотрим результаты работы стеготеста, описанного в разделе 3.2, при использовании распределения вероятностей  первых байт секции кода, представленных в табл. 3.5.Таблица 3.5. Результаты стеготеста при использовании распределения вероятностей первых N байт секции
Как мы уже выяснили, распределения вероятностей первых и последних байт секции кода различаются. Теперь будем использовать для кодирования распределение вероятностей последних байт.Таблица 3.6. Результаты стеготеста при использовании распределения вероятностей байт последних N байт секции
Итак, из табл. 3.5 и 3.6 мы видим, что для получения распределения лучше всего анализировать 80 первых или 80 последних байт секции кода. Рассмотрим второй способ получения распределения вероятностей байт. При получении особого распределения следует учитывать два требования:
Для получения распределения, наиболее «типичного» для всех файлов, были проанализированы 1000 файлов. Для каждого из них были получены распределения вероятностей первых 1000 байт. Далее, было выбрано одно распределение, наиболее близкое ко всем остальным. Для этого составлялась матрица, элементами которой являются расстояния между распределениями. Под расстоянием понимается расстояние Кульбака − Лейблера:  (1)На рис. 3.14 изображена матрица, содержащая расстояния между двумя распределениями. Для того чтобы выбрать искомое распределение, суммировались элементы строк матрицы (как показано на рис. 3.14) и выбиралось то распределение, которое давало минимальную сумму по соответствующей строке матрицы.
Рис. 3.14. Матрица расстояний Кульбака-Лейблера Таким образом, было получено следующее распределение, представленное на рис. 3.15. Рис. 3.15. Выбранное распределение вероятностей байт Будем использовать при кодировании полученное (особое) распределение. Рассмотрим результаты стеготеста, представленные в табл. 3.7. Таблица 3.7. Результаты стеготеста при использовании особого распределения вероятностей байт
Результаты стеготеста показывают, что при данном способе выбора распределения вероятностей стеготест, предложенный в разделе 3.2, не обнаруживает ни один заполненный контейнер. 3.3.3 Заключение Целью данной работы была модификация существующего метода внедрения информации в исполняемый файл. Было предложено перед внедрением сообщения в контейнер предварительно его кодировать. Тогда, распределение вероятностей байт внедряемого сообщения будет неотличимо от распределения кода программы, что делает стеготест, предложенный в разделе 3.2, неэффективным. Было установлено, что на этапе кодирования и декодирования сообщения для построения дерева Хаффмана следует использовать одно из следующих распределений вероятностей:
Как уже было упомянуто, некоторые компиляторы размещают таблицу импорта в конце секции кода. Очевидно, что наличие ненулевых байт после таблицы может вызывать подозрение. Поскольку задача перемещения таблицы импорта после внедренного сообщения достаточно трудоемкая и требует дизассемблирования, производимого в полуавтоматическом режиме (с участием человека), то рекомендуется не использовать такие контейнеры. Для передачи секретного сообщения лучше подбирать контейнеры, у которых таблица располагается в отдельной секции, например, как у представленного на рис. 3.16 файла.  Рис. 3.16. Набор секций исполняемого файла bzip2.exe Выводы В данной главе была продемонстрирована нестойкость метода внедрения информации в исполняемые файлы формата Portable Executable, предложенного в статье [32]. В ходе работы построен новый эффективный метод стегоанализа, определяющий наличие факта внедрения скрытого сообщения размером 80 байт. Преимущество предложенной схемы стегоанализа заключается в том, что отсутствует необходимость в трудоемком дизассемблировании. Также в этой главе, была предложена модификация исходной схемы внедрения информации, устойчивая к разработанному стеготесту. | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Похожие:
 | Российской федерации Курс призван дать понимание принципов построения и функционирования сети Интернет, а также базирующихся на ней информационных технологий.... |  | Аналитический доклад Совету глав правительств СНГ о текущем состоянии,... В настоящее время эффективное информационное взаимодействие невозможно представить без использования информационных технологий, телекоммуникационных... |
| Information technology. Security techniques. Methodology for it security evaluation Информационная технология. Методы и средства обеспечения безопасности. Методология оценки безопасности информационных технологий | | Выпускная работа по «Основам информационных технологий» На современном этапе ни одни исследования в науке невозможно представить без использования информационных технологий. Данный реферат... |
| Основные направления внедрения средств информационных и коммуникационных... Зация образования – это процесс обеспечения сферы образования методологией и практикой разработки и оптимального использования современных... | | Доклад по теме: «Внедрение технологий глонасс в интересах обеспечения... «Внедрение технологий глонасс в интересах обеспечения безопасности граждан и социально-экономического развития Костромской области.... |
| Применение информационных технологий на уроках английского языка... Возможности использования информационно-коммуникативных технологий в обучении английскому языку 17 | | Методические рекомендации по организации месячникамедиабезопасности... Мешиона от 24. 10. 13 №397-у «О проведении Интрнет-уроков «Имею право знать!», в целях обеспечения информационной безопасности обучающихся,... |
| Исследование и разработка методов и средств обеспечения информационной... Работа выполнена на кафедре прикладной информатики Московского государственного университета геодезии и картографии (миигаиК) | | Применение информационных технологий на уроках истории и обществоведения... Возможности использования информационно-коммуникативных технологий в обучении истории 17 |
| Программа по формированию навыков безопасного поведения на дорогах... Изучение и разработка новых методов подготовки к егэ в 11 классе с учетом использования современных технологий | | Программа по формированию навыков безопасного поведения на дорогах... Изучение и разработка новых методов подготовки к егэ в 11 классе с учетом использования современных технологий |
| Эффективность использования информационных технологий в исследованиях... Специальность 23. 00. 01 – теория и философия политики, история и методология политической науки | | Рабочая программа учебной дисциплины «Информационные системы в экономике» Сформировать у студентов знаний и навыков в области использования информационных технологий и информационных систем для решения экономических... |
| Методические рекомендации по государственной регистрации и учету... «Центр информационных технологий и систем органов исполнительной власти» (далее – фгну цитиС) в целях формирования национального... | | Приходько Юлия Алексеевна Приложение №2 Белгородский региональный... Необходимость внедрения новых информационных технологий в процесс обучения математики |
